Tổng quan
Khi nào doanh nghiệp phải lập hồ sơ đánh giá tác động (DPIA)?
Khoản 1 Điều 55 Nghị định 330/2026/NĐ-CP quy định khung 20–30 triệu đồng đối với tổ chức vi phạm nghĩa vụ lập, duy trì, nộp hoặc cập nhật hồ sơ DPIA trong các trường hợp được quy định. Khoản 1 Điều 56 quy định khung 30–50 triệu đồng cho các vi phạm hồ sơ chuyển dữ liệu xuyên biên giới. Điểm b khoản 3 Điều 55 và điểm b khoản 6 Điều 56 còn quy định buộc dừng xử lý hoặc chuyển dữ liệu trong trường hợp tương ứng cho đến khi hoàn tất nghĩa vụ và được cơ quan chuyên trách xác nhận. Hành vi cố tình làm giả số liệu, cung cấp sai lệch thông tin trong hồ sơ DPIA hoặc từ chối chỉnh sửa, hoàn thiện khi có văn bản yêu cầu khắc phục bị phạt từ 50 đến 100 triệu đồng (khoản 2 Điều 55). Với chuyển dữ liệu xuyên biên giới, khoản 3 Điều 56 quy định mức phạt theo 1%–5% doanh thu năm tài chính liền trước tại thị trường Việt Nam đối với tổ chức chuyển dữ liệu mà không lập hồ sơ, che giấu hoặc khai báo sai về dòng dữ liệu dẫn đến lộ, mất dữ liệu, hoặc tiếp tục chuyển sau khi có quyết định yêu cầu ngừng; mức này chia theo số chủ thể dữ liệu là công dân Việt Nam bị lộ, mất (từ 10.000 người trở lên), bậc cao nhất là 3%–5%. Nếu không có doanh thu tại Việt Nam hoặc mức tính theo doanh thu thấp hơn 3 tỷ đồng thì áp dụng khung 200 triệu đến 3 tỷ đồng (khoản 4). Các mức trên áp dụng cho tổ chức; cá nhân thực hiện cùng hành vi chịu mức bằng một phần hai (Điều 7).
LexData xác định vai trò của doanh nghiệp và trường hợp miễn trước khi lập hồ sơ đánh giá tác động. Khoản 1 Điều 21 Luật 91/2025/QH15 quy định bên kiểm soát, bên kiểm soát và xử lý lập, lưu trữ và gửi hồ sơ; khoản 3 quy định bên xử lý lập, lưu trữ theo thỏa thuận. Phạm vi hồ sơ và thủ tục nộp cần đối chiếu thêm Điều 19 Nghị định 356/2025/NĐ-CP, không mặc định bên xử lý được miễn nộp. Hồ sơ thuộc diện phải nộp có hạn 60 ngày từ ngày đầu tiên xử lý dữ liệu.
Hạn nộp hồ sơ chuyển dữ liệu cá nhân xuyên biên giới được tính từ ngày đầu tiên chuyển, khác với mốc xử lý của DPIA. Phân loại rủi ro phục vụ lựa chọn biện pháp bảo vệ, không tự quyết định việc được miễn nộp. Khi chuyển, xử lý xuyên biên giới dữ liệu cốt lõi, dữ liệu quan trọng là dữ liệu cá nhân, khoản 3 Điều 42 Nghị định 356/2025/NĐ-CP xác định doanh nghiệp lập hồ sơ theo pháp luật bảo vệ dữ liệu cá nhân, không phải làm thêm đánh giá rủi ro, đánh giá tác động theo Nghị định 165/2025/NĐ-CP về Luật Dữ liệu. LexData rà soát riêng từng nghĩa vụ và lập kế hoạch hồ sơ phù hợp.
